Programma Bug Bounty
Se ritieni di aver trovato una vulnerabilità di sicurezza su X-VPN, ti invitiamo a farcelo sapere immediatamente. Esamineremo tutte le segnalazioni legittime e faremo del nostro meglio per risolvere rapidamente il problema. Prima di segnalare, ti preghiamo di consultare questa pagina, inclusa la nostra politica di divulgazione responsabile e le linee guida per le ricompense.
Politica di Divulgazione Responsabile
Se rispetti le seguenti politiche quando segnali un problema di sicurezza a X-VPN, non avvieremo una causa legale o un'indagine delle forze dell'ordine nei tuoi confronti in risposta alla tua segnalazione. Ti chiediamo di:
- 1. Ci concedi un tempo ragionevole per indagare e mitigare un problema che segnali prima di rendere pubbliche qualsiasi informazione riguardante la segnalazione o di condividere tali informazioni con altri.
- 2. Fate un sincero sforzo per evitare violazioni della privacy e interruzioni per gli altri, inclusi (ma non limitati a) accessi non autorizzati o distruzione di dati, e interruzione o degrado dei nostri servizi.
- 3. Non sfrutti un problema di sicurezza che scopri per nessun motivo. (Questo include dimostrare rischi aggiuntivi, come il tentativo di compromettere dati sensibili dell'azienda o sondare per ulteriori problemi.)
- 4. Non violi intenzionalmente altre leggi o regolamenti applicabili, inclusi (ma non limitati a) leggi e regolamenti che vietano l'accesso non autorizzato ai dati.
- 5. Ai fini di questa politica, non sei autorizzato ad accedere ai dati degli utenti o ai dati aziendali, inclusi (ma non limitati a) informazioni personali identificabili e dati relativi a una persona fisica identificata o identificabile.
- 6. La decisione se la tua segnalazione è valida e quanto sarai ricompensato è a nostra discrezione. Pur essendo equi e generosi, inviando una segnalazione di bug, accetti e concordi che il nostro verdetto è definitivo.
Termini del Programma Bug Bounty
Riconosciamo e premiamo i ricercatori di sicurezza che ci aiutano a mantenere le persone al sicuro segnalando vulnerabilità nei nostri servizi. Le ricompense monetarie per tali segnalazioni sono interamente a discrezione di X-VPN, basate su rischio, impatto e altri fattori. Per poter potenzialmente qualificarsi per una ricompensa, è necessario prima soddisfare i seguenti requisiti:
- 1. Attenersi alla nostra Politica di Divulgazione Responsabile (vedi sopra).
- 2. Segnala un bug di sicurezza: cioè, identifica una vulnerabilità nei nostri servizi o infrastrutture che crea un rischio per la sicurezza o la privacy. (Nota che X-VPN determina in ultima analisi il rischio di un problema, e che molti bug software non sono problemi di sicurezza.)
- 3.Indaghiamo e rispondiamo a tutte le segnalazioni valide. Tuttavia, a causa del volume di segnalazioni che riceviamo, diamo priorità alle valutazioni in base al rischio e ad altri fattori, e potrebbe volerci del tempo prima che riceviate una risposta.
- 4. In caso di segnalazioni duplicate, premiamo con una ricompensa la prima persona che invia un problema. (X-VPN determina i duplicati e potrebbe non condividere i dettagli sulle altre segnalazioni.) Una determinata ricompensa viene pagata solo a un individuo.
- 5. Ci riserviamo il diritto di pubblicare rapporti (e aggiornamenti correlati).
- 6. Inviando il tuo rapporto di bug all'email bug@xvpn.io, e rispondendo alle richieste di follow-up del nostro staff per aggiornamenti o ulteriori informazioni.
Intervallo di ricompensa
Per la prioritizzazione/valutazione iniziale delle vulnerabilità, questo programma utilizzerà la Bugcrowd Vulnerability Rating Taxonomy, si prega di assicurarsi di esaminare questa tabella! È inoltre importante notare che in alcuni casi la priorità di una vulnerabilità verrà modificata a causa della sua probabilità o impatto. In ogni caso in cui un problema venga declassato, verrà fornita al ricercatore una spiegazione completa e dettagliata - insieme all'opportunità di fare appello e presentare un caso per una priorità più alta.
| Gravità tecnica | Intervallo di ricompensa |
|---|---|
| p1Critical | $500 |
| p2Severe | $200 |
| p3Moderate | $100 |
| p4Low | $50 |
Le sottomissioni P5 non ricevono alcuna ricompensa per questo programma.
Fuori ambito:
- - Self XSS
- - Record DMARC configurati in modo errato o mancanti
- - Email spoofing
- - Falsificazione dei contenuti
- - Le vulnerabilità limitate ai browser non supportati non saranno accettate. L'exploit deve funzionare almeno su >= IE 9.
- - Attacchi di forza bruta
- - Attacchi DDoS
- - Vulnerabilità nei servizi gestiti da terzi, come i rivenditori.
- - Qualsiasi scenario che si basi su certificati SSL contraffatti.
- - Qualsiasi bug o problema non correlato a vulnerabilità di sicurezza.
Segnalazione di problemi di connessione
Se stai riscontrando problemi di connessione, ti preghiamo di segnalarlo e di aiutarci a fare alcuni test.
2. Ti contatteremo tramite i social media. Poi potremmo inviarti versioni di prova, a proposito sarà utile se hai un laptop.
Ti verranno pagati $20/ora durante il test. Se risolviamo un problema grazie al tuo aiuto, come l'analisi della rete o la connessione remota, ci sarà un premio extra da $10 a $1000.
Licenza
Copyright LIGHTNINGLINK NETWORKS PTE. LTD. Concesso in licenza secondo la Apache License, Versione 2.0 (la "Licenza"); non è consentito utilizzare questo file se non in conformità con la Licenza. È possibile ottenere una copia della Licenza presso
http://www.apache.org/licenses/LICENSE-2.0
Salvo diversa disposizione di legge applicabile o accordo scritto, il software distribuito sotto la Licenza è distribuito "COSÌ COM'È", SENZA GARANZIE O CONDIZIONI DI ALCUN TIPO, esplicite o implicite. Consultare la Licenza per le specifiche autorizzazioni e limitazioni previste dalla Licenza.